道夫2004/3/10コンピュータシステムやネットワークにログオンするときに本人認証を行うパスワードを、安易に他人に見られてしまうモニタなどに付箋紙で貼り付けてはいけないなどといわれてきた。パスワードそのものは辞書に乗っているような単語は危険なので、意味の通らない英数字にしなければならないともいわれている。万が一パスワードが漏えいした場合などのため、3カ月に1回は変更せよともいわれている。1つ1つの「教訓」はそれぞれ真実なのだが、すべてを合わせてパスワードを管理しようとすると無理があるといわざるを得ない。記憶できないような、手掛かりのないパスワードを、メモせずに憶えなければならず、しかも3カ月に1回変更するというのは、通常複数のシステムやネットワークのID、パスワードを持っている場合が多い昨今の状況を考えると無理が生じるだろう。実際には、(1)パスワードは解析されにくいものにする(2)3カ月に1回、できれば1カ月に1回程度変更する(3)パスワードはメモしておくという管理が現実的ではないだろうか。解析されにくいパスワードとはどんなものか。進数でエンコードされているLANMANハッシュと呼ばれる旧来型パスワード管理方法がサポートされている。これは大文字のみであるばかりか、暗号化手順が脆弱なので解析が容易なものだ。OSではLANMANハッシュ形式で保存されてしまいそうなパスワードは使用しない方がいいだろう。そのためにはパスワードを長いもの、15文字以上にすればよい。LANMANは14文字までしかサポートできないので、パスワードを15文字以上に設定するだけでLANMAN形式にならずに済むのだ。これだけで、LC4(L0phtCrack4)などの有名なパスワード解析ツールによる解析を逃れることができる。後は、辞書攻撃にやられないような複数の単語の組み合わせや、大文字・小文字や数字・記号を組み合わせるパスワードなどにしておくだけだ。(2)と(3)の要件は表裏一体であり、メモして取っておくことができるので、15文字以上という長いパスワードでも管理することができるわけだ。1カ月に1回くらいであっても、メモさえあれば問題ないだろう。メモしておくときに考える必要があるのは、「メモの管理」についてである。メモの場合「紛失」と「盗難」が問題であろう。「紛失」したときでもリカバーできるように、例えば職場の管理者に現在設定されているパスワードのメモのコピーを預けておき、管理者はそれを鍵が掛かるところに入れておくなど、とにかくリカバー用の情報はどこかに存在するようにして、容易にアクセスできない場所に保存しておけばいいだろう。「盗難」はメモそのものを盗まれる場合と、メモそのものは無事だが中身を写し取られるなど情報を盗まれる場合とある。それに対抗するには、例えばメモを2つにして8文字ずつ書いておき、1つは手帳や財布に、1つは鍵が掛かる引き出しの中に入れておく。すれば、盗まれたとしても半分に過ぎないので、盗難後そのままログオンされてしまうことは避けられるはずだ。このような管理を行うだけで、パスワードにまつわるさまざまなリスクを回避しながら、セキュリティ的には効果的な管理ができるだろう。有償になるが、パスワード管理を支援するツールも存在している。したツールの中には上記要件を満たしているものもあるので、そういうツールを用いる手もある。セキュリティフライデーの「認術修業」などは、乱数表のようなメモにパスワードが書かれていてぱっと見ただけでは分からない形で保管でき、さらにパスワードの強度判定もしてくれる。自前ではなかなか効果的なパスワードを作り出せない場合などには、この手のツールを管理に使うことを検討してもよいだろう。10が備える多彩なセキュリティ対策機能を丸ごと理解するには、5つのスタックに分けて順に押さえていくことが早道だ。連載第1回は、Windows起動前の「デバイスの保護」とHyper-Vを用いたセキュリティ構成について紹介する。WannaCryがホンダやマクドにも。(2017/7/11)2017年6月のセキュリティクラスタでは、「WannaCry」の残り火にやられたホンダや亜種に感染したマクドナルドに注目が集まった他、ランサムウェアを作成して配布した中学3年生、ランサムウェアに降伏してしまった韓国のホスティング企業など、5月に引き続きランサムウェアの話題が席巻していました。(2017/7/5)人員リソースや予算の限られた中堅・中小企業にとって、大企業で導入されがちな、過剰に高機能で管理負荷の高いセキュリティ対策を施すのは現実的ではない。Threat)対策の観点から考える。